Wireshark（前称 Ethereal）是一款开源的网络数据包分析器，广泛应用于网络故障排除、分析、通信协议开发和教育等领域。 它能够实时捕获网络接口上的数据包，并尽可能详细地显示捕获的数据，支持多种协议的解析。 Wireshark 适用于 Windows、Linux、macOS 等多种操作系统，提供图形化界面，方便用户查看和分析网络流量。 其强大的功能使其成为网络工程师和安全专家的常用工具。
Wireshark 官网：https://www.wireshark.org/
Wireshark 安装步骤
1. 下载安装包
访问 Wireshark 官网，在 Stable Release 部分选择适合操作系统的版本（如 Windows 64 位）下载。注意：Windows 系统需手动安装，Linux 系统（如 Kali）通常自带 Wireshark。
2. 运行安装程序
安装组件：默认勾选主程序及插件，建议全选以支持完整功能。 关联文件扩展：勾选以关联 .pcap 等抓包文件格式。 安装路径：建议选择非系统盘（如 D 盘）以节省空间。 以管理员身份运行下载的安装包（如 Wireshark-win64-x.x.x.exe），按默认设置逐步点击 Next。3. 安装依赖组件
NPcap：必须安装，用于捕获网络流量。选择默认配置（勾选 Install Npcap in WinPcap API-compatible Mode 以兼容旧版工具）。 USBPcap（可选）：用于捕获 USB 设备流量，实验性功能可根据需求选择。4. 完成安装并重启
安装完成后重启电脑以确保驱动生效。
Wireshark 使用入门
1. 启动与选择网卡
打开 Wireshark，在欢迎界面选择要抓包的网卡（如 Wi-Fi 或以太网适配器）。可通过 ipconfig 命令确定当前使用的网卡。 混杂模式：勾选 Capture > Options > Enable promiscuous mode 以捕获所有经过网卡的数据包（包括非本机流量）。
2. 开始抓包
双击网卡名称或点击 Start 开始抓包。操作期间产生的流量（如浏览网页、执行 ping 命令）会被实时捕获。
3. 停止与保存数据
点击红色停止按钮结束抓包，通过 File > Save 保存为 .pcap 文件以便后续分析。
界面与核心功能
1. 主界面组成
数据包列表：显示捕获的所有数据包，包含编号、时间戳、协议、源/目的地址等信息。 数据包详情：分层解析数据包的协议结构（物理层→应用层），可展开查看字段细节。 原始字节流：以十六进制和 ASCII 格式显示数据包原始内容。2. 过滤器使用
抓包过滤器（Capture Filter）：在抓包前设置，仅捕获符合条件的数据（如 tcp port 80 抓取 HTTP 流量）。 显示过滤器（Display Filter）：抓包后筛选结果（如 http.request.method=="GET" 过滤 GET 请求）。3. 常用过滤语法
按协议：tcp、udp、icmp、dns 等。 按 IP：ip.addr == 192.168.1.1（源或目的 IP）、ip.src == 192.168.1.1（仅源 IP）。 按端口：tcp.port == 80（TCP 80 端口流量）。实用案例分析
抓取并分析 ICMP 数据包
启动抓包后执行 ping www.baidu.com，使用显示过滤器 icmp 筛选结果，查看请求与响应包的往返时间（RTT）及状态。
分析 TCP 三次握手
访问网站（如 www.huawei.com），过滤条件设为 tcp && ip.addr == 目标IP。观察三次握手过程：
SYN：客户端发送连接请求。 SYN-ACK：服务端确认请求。 ACK：客户端确认连接建立。导出特定数据包
右键选中数据包，选择 Export Packet Dissections > As JSON/CSV 导出为结构化文件，便于进一步分析。
注意事项与进阶技巧
HTTPS 流量限制
Wireshark 无法直接解密 HTTPS 内容，需配合浏览器密钥或中间人代理（如 Fiddler）。
性能优化
大流量场景下启用 Capture > Options > Limit each packet to 限制包大小，避免内存耗尽。
高级功能
统计工具：通过 Statistics 菜单分析流量分布、协议占比等。 追踪流：右键数据包选择 Follow > TCP Stream 查看完整会话内容。资源推荐
Wireshark 官方文档：https://www.wireshark.org/docs/。
通过以上步骤，你可快速掌握 Wireshark 的核心功能，适用于网络排障、安全分析及协议学习等场景。如需更详细操作示例，可参考来源教程。
